2020年第4四半期のクロスサイトスクリプティング（XSS）攻撃：トレンドとベストプラクティス

図3。 サイバー攻撃者がXSSの脆弱性をどのように利用するか。

この攻撃は、攻撃されたユーザーが実行できるWebサイト上で、「ユーザーのセッションCookieの開示により、攻撃者がユーザーのセッションを乗っ取り、アカウントを乗っ取られる」ことを含むあらゆることを実行できる。たとえば、ユーザーに代わって送信されたユーザーのパスワードを変更するスクリプトは、アカウントの乗っ取りにつながる可能性がある。

他にも踏み台の例がある。 別の公的に文書化されたケースでは、SSRF攻撃はもともとXSSエクスプロイトを介して開始され、セキュリティ研究者は「画像の内部のXSSからサーバー上の任意のローカルファイル読み取りにエスカレートすることができた」。

すべての研究者(あるいはサイバー犯罪者)が、XSSの悪用をより意味のあるものに結びつけるのに十分な忍耐力を持っているわけではない。 しかし、より大きく、より良いもののためにXSSを保持することは、バグ報奨金プログラムで大きな賞を獲得しようとしている研究者にとっては一般的な方法のようだ。

緩和と擁護

データがないと判断するのは難しい。 しかし、状況を可視化することで、望ましい結果に導く経路を特定することが容易になる。 XSSトラフィックがネットワークとビジネスにもたらすリスクを軽減するのに役立つヒントとリソースのコレクション。

1. インターネットに接続されているすべてのデバイスを認識し、レガシーシステムとテストシステムの両方が強化またはオフラインになることを確認する。 特にクラウドインフラの時代には、開発チームが数回クリックするだけでマシンをスピンアップしたり、フォームを送信したりすることが重要である。
2. Webサーバを適切に設定し、強化する。 Center for Internet Securities Benchmarksなどのツールを使用して、サーバーのコントロールの構成方法を理解することを検討する。 MITM攻撃から保護するためにTLS設定を適切に構成する。
3. インターネットに接続されているすべてのサーバーに定期的にパッチを適用する。 時々、よく使われるフレームワークはXSSに対して脆弱である。 2021年2月時点で、MITREのATT&CKデータベースには、XSSとの関連を含めて17,000近くの脆弱性と弱点が記載されている。
4. セキュリティ強化の効果を定期的に検証する。 攻撃者が使用しているのと同じ動的アプリケーションセキュリティテスト(DAST)ツール、たとえばOWASP ZapやKali Linuxの同様の脆弱性スキャンツールを使用する。 または、DASTまたはペネトレーションテストサービスを使用して、脆弱なインターネットに面したサーバーを検出してスキャンする。
5. Web Application Firewall（WAF）を有効にして、一般的な攻撃をブロックする。
6. WAFを更新して、発見された脆弱性を即座にブロックし、アプリケーションチームが修正プログラムを展開できるようにする。 新たに発見された脆弱性から保護するための新しいルールが利用可能になったときにWAFを更新する。
7. ロギングを有効にして、それらのログを検査する。
8. 高度に冗長化された信頼性の高いDNSサービスと高度に分散されたDDoS保護とWebアクセラレーションサービス（CDN）を使用して、ウェブサイトと重要なネットワークインフラストラクチャをボリューム攻撃から保護する。

データから始める

コンテンツを配信するためにアプリを微調整し、リスクを軽減し、内部に侵入する攻撃をブロックするための堅牢なセキュリティ制御セットを提供することも可能である。 それでも、なぜ潜在的に有害なトラフィックが最初の場所であなたのネットワークに入るようにするか。 ポリシーが欠落している、またはコントロールがバイパスされているというチャンスを利用する理由

Verizon Media Securityのお客様は、脅威から身を守ることができる2つの機能をすぐに利用できる。

1. 私達はあなたの場所を打つ潜在的に有害な(または少なくとも役に立たない)ネットワークトラフィックを見る。
2. 統合されたVerizon Media WAFは、悪意のあるトラフィックが自動的に問題になる前にブロックできるようにすることができる。

Webアプリケーションのセキュリティを向上させるための重要なステップを踏む、詳細については、今すぐお問い合わせ。